AD CS txantiloiak diseinatzen VPN atebidearen eta bezeroaren roletarako

Enpresako CA batek VPN batek behar dituen ziurtagiri guztiak jaulki ditzake inoiz atebidea bera izan gabe. Diseinu-lana da erabakitzea zer frogatu behar duen muturreko bakoitzak, eta gero zein txantiloik jaulki dezakeen zehazki hori frogatzen duen egiaztagiria. Rol-taularekin hasten naiz, txantiloi egokia bikoizten dut lekuan editatu beharrean, subjektuaren iturria rolen arabera finkatzen dut, emaitza jaulkitzen duen CAan argitaratzen dut eta pilotu bati izena ematen diot inork automatizatu aurretik. Beheko urrats bakoitza CA funtzional batek oraindik VPNak baztertuko duen ziurtagiri bat sortzen duen lekua da.

Idatzi rol-taula txantiloi-kontsola ireki aurretik

Bi rol, bi helburu. Atebideak zerbitzu-identitatea frogatzen du, beraz bere ziurtagiriak Server Authentication (1.3.6.1.5.5.7.3.1) behar du, sinadura digitala eta gako-zifratzea barne hartzen dituen gako-erabilera, eta bezeroek deitzen duten ostalari-izena subjektuaren izen alternatiboan. Ziurtagiriekin autentifikatzen diren bezeroek Client Authentication (1.3.6.1.5.5.7.3.2) behar dute eta atebideak bere beste muturreko egiaztapenean espero duenarekin bat datorren identitatea. Erabiltzaile-ziurtagiria eta ordenagailu-ziurtagiria ez dira trukagarriak, biltegi ezberdinetan bizi direlako eta prozesu ezberdinek erabiltzen dituztelako.

Idatzi lau zutabe rol bakoitzeko: agertu behar duen identitatea, helburua, gakoaren kontsumitzailea eta gakoak makina utz dezakeen. Taula horrek geroago lauki bakoitza erabakitzen du, eta berrikusle bati ematen diozun hori ere bada. Pasahitzean oinarritutako bezero-autentifikazioa adar bereizia da: atebideak erabiltzaileak kredentzialekin autentifikatzen baditu, bezero-ziurtagiriak banatzeak lana gehitzen du frogarik gehitu gabe.

Bikoiztu txantiloi bat partekatua editatu beharrean

Hasi gutxi gorabehera helburu egokia duen txantiloi batetik, adibidez RAS and IAS Server atebiderako edo Computer domeinuari lotutako gailuetarako, gero bikoiztu eta eman kopiari zertarako den adierazten duen izena. Beste zerbitzu batzuek jada erabiltzen duten txantiloi bat zabaltzea sei aste geroago zerikusi gabeko zerbait hausten duen aldaketa da. Kopian, ezarri aplikazio-politikak rol-taulako helburura, mantendu gako-erabilera harekin koherentea, aukeratu zure atebideek onartzen duten gako-algoritmoa eta luzera, eta markatu gako pribatua esportaezina gisa, gailu batek mugitzeko esportatu behar ez badu behintzat.

Baliozkotasuna eta berritzea txantiloiarenak ere badira. Bizitza laburra errazagoa da baliogabetzeko eta zailagoa ustiatzeko; luzea denak izena emateko lana murrizten du eta filtratutako gako baten esposizioa luzatzen du. Aukeratu defenda dezakezun zenbaki bat, eta kontuan izan CAren beraren baliozkotasunak eta txantiloiaren berritze-epeak emaitza laburtu dezaketela.

Erabaki nondik datorren subjektua

Domeinuko ordenagailu edo erabiltzaile batentzat, eraiki subjektua direktorio-informaziotik, eskatzaileak izena idatzi ezin dezan. Domeinuari lotuta ez dagoen atebide batentzat, edo identitatea ADtik kanpo esleitzen zaion gailu batentzat, txantiloiak bide kontrolatua behar du horren ordez. Eskatzaileak emandako subjektua eta izen alternatiboak gaitzea erabaki erreala da: ez da inskribatu bakoitzak edozein izen aldarrikatzeko lizentzia, eta CA aldeko politikak oraindik esan behar du nork eska dezakeen eta zein froga behar den.

Windows IKEv2 zorrotza da hemen. Atebidearen ziurtagiria bezeroak konfiguratutako izenarekin parekatzen da, beraz DNS izenak han egon behar du bezeroak bilatzen duen tokian, normalean subjektuaren izen alternatiboko dNSName sarrera gisa. Izen-egiaztapena edo helburu-egiaztapena desgaitzea bat ez datorren ziurtagiri bat funtziona dezan, produkzioan desadostasuna harrapatuko lukeen egiaztapena kentzea da.

Argitaratu txantiloia, gero murriztu baimenak

Txantiloi-objektua AD DSn sortzea eta jaulkitzen duen CAan argitaratzea eragiketa bereiziak dira, kontsola ezberdinetan egiten direnak. Argitaratu kopioa Certification Authority kontsolan Certificate Templates atalean, gero egiaztatu komando-lerrotik CAk orain eskaintzen duela:

certutil -CATemplates
certutil -TCAInfo

Baimenak datoz gero. Eman Read eta Enroll eskatu behar duten taldeei eta besterik ez, mantendu CAren beraren irakurketa-sarbidea osorik, eta eman Autoenroll izena emate automatikoa nahi den eta hura funtzionarazten duen hedapen-politikak babesten duen tokian soilik. Txantiloi bateko lauki batek ez du ezer inskribatzen bere kabuz, eta izena emateko baimenik gabeko txantiloi argitaratu batek ziurtagiria zerrendatzen duen ataria sortzen du eta gero eskaera ukatzen du.

Eman izena pilotu bati benetako kontsumitzailean

Eskatu ziurtagiria erabiliko duen testuinguruan, gero aztertu itzuli dena fitxategi-izenari fidatu beharrean. Erabiltzaile-ziurtagiria uneko erabiltzailearen biltegian geratzen da eta ordenagailu-ziurtagiria tokiko ordenagailuaren biltegian, eta MMCk biak erakusten ditu, horregatik “lan egin zuen” izena-emate bat VPN zerbitzuarentzat ikusezina izan daiteke oraindik.

certlm.msc
certutil -dump vpn-gateway.cer

Irakurri dumpa subjektua, izen alternatiboak, gako-erabilera hobetua eta katea ikusteko. Windows ez den atebide batentzat, bidali eskaera onartutako lan-fluxuaren bidez, domeinuko izena emate automatikoak hara iristen dela suposatu beharrean, eta egiaztatu esportatutako formatua kontsumitzaileak bere gako pribatu parekidearekin batera inportatzen duen horietakoa dela. Azkenik, mantendu konfiantza eta baimena bereizita: VPNak oraindik erabaki behar du zein erabiltzaile edo gailuk zein baliabide lortzen duten, eta baliogabetzeak sarbidea kentzen du atebideak baliogabetzea batere egiaztatzen badu soilik. Microsoft-en ziurtagiri-txantiloiak kudeatzeko gida txantiloi-kontsola, baimenak eta argitaratze-urrats bereizia biltzen ditu.